MIT学生如何助力防范网络攻击

# 麻省理工学院学生如何帮助防范网络攻击 来源：https://news.mit.edu/2026/mit-cybersecurity-clinic-preventing-cyberattacks-0713 2019年5月，马里兰州巴尔的摩市政府陷入混乱。网络犯罪分子锁定了该市许多关键文件，并要求支付赎金以解密这些文件。该市拒绝支付赎金。这次攻击导致包括房地产交易和账单支付在内的一系列服务瘫痪，恢复成本高达数百万美元。 麻省理工学院城市研究与规划系（DUSP）开设的11.074/11.274课程（网络安全诊所）的教学大纲中，将巴尔的摩案例作为针对市政当局及其他公共机构的勒索软件攻击日益常见的典型案例。为应对此类威胁，讲师 Jungwoo Chun 与福特城市与环境规划教授 Lawrence Susskind 于2019年共同创立了麻省理工学院网络安全诊所。自那时起，他们几乎每学期都开设这门课程。 与法律或医疗诊所类似，该课程兼具学生实践培训和为高风险社区提供公益服务的双重功能。在完成教学模块并通过认证考试后，学生将以小组形式分派给客户。学期末，每个小组需提交一份报告，评估客户面临的网络攻击脆弱性，并建议改进防护措施。迄今为止，该诊所已免费提供了40多份保密评估，主要面向新英格兰地区的市政当局和医疗机构。 2025年，联邦调查局互联网犯罪投诉中心记录显示，平均每天有2765起网络攻击针对美国人。Chun 表示，当这些攻击袭击城镇时，其后果远超财务层面：“那会对我们生活的方方面面产生可怕的连锁效应。” 近年来，针对麻省理工学院诊所所服务客户群体的网络攻击，已危及供水安全、阻碍911报警和警察服务，并导致公民个人数据泄露。 尽管这些小型市政当局和医院是关键基础设施的门户，但它们往往缺乏受过网络安全培训的内部员工。在当今劳动力市场上，对此类专家的需求远大于供应，而公共部门的预算通常无法匹敌私营企业为合格候选人提供的高薪。 根据 Comparitech 的数据，从2018年到2024年，美国政府部门共遭遇525次勒索软件攻击，大约每五天发生一次，导致估计10.9亿美元的停工成本。 "资金不足的公共和非营利机构需要走自助之路，"Susskind 说。"这些组织只需从免费服务诊所获得一点指导，就能实施许多低成本措施。" **防御性社会工程** 有些人可能会惊讶地发现，一所大学的网络安全课程竟然设在计算机科学系之外。Chun 是一位应用社会科学家，专攻公共政策和规划；而 Susskind 则是冲突解决与共识构建领域的知名学者。他们称自己为该诊所开发的方法为"防御性社会工程"，以强调网络安全不仅仅是技术挑战。 Chun 承认，人工智能的快速发展为犯罪分子创造了令人担忧的新工具——"现在人工智能不仅能识别漏洞，还能自行实施攻击，这真的很可怕"——同时，一系列不断演变的软件声称可以防御这些攻击。因此，这门课程花费了大量时间在网络安全的技术层面。"但归根结底，"Chun 说，"最大的攻击媒介仍然是通过人类。" "社会工程"一词通常指网络犯罪受害者被操纵以削弱安全性的方式（例如，向诈骗者汇款、下载恶意代码或泄露敏感信息）。Susskind 和 Chun 提出的防御性社会工程概念同样基于人类心理学。该方法强调，网络安全必须成为每个人工作的一部分，无论其是否涉及技术领域。 "这是关于人们知道该做什么，人们做出正确选择，"Chun 说。"这是帮助他们利用现有的资源和预算去做能够持久见效的事情，而不仅仅是购买最新的防病毒软件。" "具有计算机科学背景的学生对我们如此重视帮助客户建立组织能力感到惊讶，"Susskind 说。"学生需要了解客户社区中的领导力动态。IT主管不能随心所欲。他们依赖地方政府获得预算。他们需要获得批准才能招聘新员工。" 另一方面，Susskind 表示，来自规划或社会科学背景的学生通常研究智慧城市创新，却很少了解管理相关风险所需的技术。此外，人工智能和高级系统设计的某些方面——以及网络法律和其他对网络安全至关重要的主题——可能是工科学生在其他课程中不会学到的。网络安全诊所旨在完善来自各个学科学生的知识体系。该课程还通过每学期邀请至少六位来自行业、其他大学、麻省理工学院院系及/或相关公共机构的客座讲师，来拓宽这些学生的知识面。 例如，今年春季的讲师阵容包括：Industrial Data Works 创始人 Dan Ricci 讲解在预算受限环境下对能源系统风险建模；I&C Secure Inc. 总裁 Gus Serino 讲解工业控制系统的运营技术网络安全；以及来自 MassCyberCenter 和网络安全与基础设施安全局的代表分别介绍各自州级和联邦级组织的项目与倡议。 "我们需要教授非常专业的知识，尤其是关于人工智能如何改变网络安全的知识，"Susskind 说。"网络安全领域的变化速度意味着大多数学者很难跟上。" **改进路线图** 诊所学生学期前四周用于准备实地任务。一系列在线模块，辅以课堂讨论，概述了针对关键城市基础设施的网络攻击的范围和性质；回顾了与其客户类型最相关的23个风险领域；并为评估过程的每一步提供指导。这包括模拟棘手的客户互动。如果客户不重视学生，或不提供必要信息怎么办？如果他们争论要求得到比事实更有利的评估结果怎么办？ "我之前从未上过任何一门课能让我们为如此真实的场景做好准备，"Diego Contreras 说，他是一名计算机科学与工程专业即将升入大四的学生，今年春季完成了这门课程。 模块结束时有一场考试，学生必须首次通过才能获得实地任务。在学期的剩余时间里，他们将通过每周的课堂会议获得持续支持，并针对起草的报告获得教师反馈；但协调团队活动和建立客户信任的责任则落在学生身上。 "你代表麻省理工学院，这是一份相当重大的责任，"Contreras 说。"这门课教会了我在其他任何环境下都培养不出来的人际交往技能。" "项目中最微妙的一面是平衡我们的评估结果，"Zev Moore '26 说，他于去年秋季作为数学经济学与金融专业的大四学生选修了这门课程。"我们的方法是提供重要反馈，同时肯定客户已有的积极安全措施，这确保了我们的报告感觉像是一份协作性的改进路线图。" 大多数报告中都会出现某些关键建议。例如，建议客户盘点所有接入其网络的硬件和软件，并追踪访问权限；定期修补软件和备份数据；要求多因素认证和频繁更换密码；培训员工不要打开来自陌生人的附件；制定攻击响应计划，明确指挥链并包含组织对支付赎金的立场；以及只使用具备良好网络安全习惯的供应商。 "这些措施中没有一项是昂贵的，"Susskind 说。"综合起来，它们可能避免80%甚至更多的网络攻击可能造成的成本和危险。" **推广模式** 迄今为止，已有120多名学生完整完成了麻省理工学院的这门课程。为学生认证做准备的在线模块作为大规模开放在线课程在 *MITx* 上免费向公众开放，名为《关键城市基础设施的网络安全》，已吸引了数万名学习者。这些模块也被其他拥有自己网络安全诊所的大学使用——这是一个不断壮大的群体，部分得益于麻省理工学院于2021年与加州大学伯克利分校、印第安纳大学和阿拉巴马大学共同创立的联盟（现有61个成员机构且仍在增加）。 大多数学生团队在完成建议定稿后结束客户工作；也有少数团队自愿在学期结束后继续提供实施建议。无论是哪种情况，Susskind 和 Chun 都会在每次合作后至少两年内定期与客户联系。 "我们经常听到反馈说，漏洞评估报告成为了该组织为未来攻击做好准备的短期、中期和长期议程的蓝图，"Chun 说。"我们主要与IT主管或首席技术官合作，许多人在合作结束后告诉我们，他们将麻省理工学院的报告分享给了市镇领导，并成功说服他们需要额外预算或特定项目拨款。他们利用学生报告作为筹码，说：‘不只是我这么说。我们有一个可信的团队投入了时间，这些就是调查结果。’" "这真是一次令人谦逊的经历，"Chun 补充道，"当我们过去的一些客户过了一段时间再次联系我们说：‘现在我们有了不同的人手，刚购买了新设备。我们可以重新再来一次吗？’"